Roblox开发人员受到恶意npm包的供应链攻击

Socket 的威胁研究团队最近发现了针对 Roblox 开发者社区的新攻击。威胁行为者分发了五个恶意 npm 软件包，包括 node-dlls、ro.dll 和 rolimons-api，这些软件包伪装成平台上开发者广泛使用的合法工具。这次攻击的目的是让开发人员感染 Skuld 信息窃取程序和 Blank Grabber 恶意软件，这些软件包在被删除前已被下载了 320 多次。

攻击者依靠错别字，使用具有欺骗性的软件包名称来冒充可信软件包。例如，他们模仿流行的 node-dll 软件包，发布了一个外观相似的 node-dlls 软件包，而类似的 rolimons-api 软件包则是针对 Roblox 数据集成的著名 API。根据 Socket 的报告，“恶意 npm 软件包包含经过混淆的 JavaScript 代码，旨在从外部源下载和执行恶意可执行文件”。这种混淆使攻击者得以隐藏其恶意意图，并利用毫无戒心的开发人员对熟悉名称的信任。

一旦安装，代码就会执行一系列命令，下载和部署托管在 GitHub 上的恶意软件，而 GitHub 是开发者的常用平台，可以帮助恶意软件绕过安全过滤器。

用 Go 语言编写的 Skuld 信息窃取程序以 Roblox 开发人员的系统为目标，提取敏感信息。Socket 报告说，Skuld “采用了逃避调试、禁用防病毒保护和提升权限的技术，从而可以捕获凭证、cookie 和财务信息”。第二款恶意软件 Blank Grabber 是一款基于 Python 的工具，主要用于窃取 Discord 令牌、浏览器数据甚至加密货币钱包信息。它还包括一个图形用户界面生成器，允许威胁行为者定制其功能，并有可能逃避检测。

为了传递窃取的数据，该恶意软件使用了 Discord webhooks 和 Telegram，这使得检测工作变得更加复杂，因为这两个平台都是可信平台。Socket 的分析强调，“如果平台开发者出于合法目的使用 Discord 和 Telegram 进行 C2 通信，会使检测工作复杂化”。通过利用这些渠道，攻击者可以避免触发传统的安全警报，从而提高攻击的有效性。

Socket 建议开发人员采取积极主动的安全措施，定期监控 npm 软件包是否有被篡改的迹象，并仔细核实软件包名称以避免错字抢注攻击。用他们的话说，“威胁行为者利用信任和人为错误，模仿受信任的软件包，将恶意代码引入应用程序”。